Ein Satz interner Gespräche der Silent Ransom Group (SRG) wurde vom Threat-Intelligence-Unternehmen KELA analysiert, und die durchgesickerten Chats der Silent Ransom Group bieten einen seltenen Einblick in die Denk- und Arbeitsweise einer modernen Erpresserbande. Die Details sind für große Unternehmen wichtig, aber sie sind auch für kleine Organisationen und Einzelpersonen wichtig, deren Konten und Daten als Druckmittel enden können.

Dieser Beitrag beschränkt sich auf das, was die KELA-Analyse verfügbar macht. Die veröffentlichte Zusammenfassung ist kurz, daher sagen wir es, wenn Details in der Quelle fehlen, anstatt zu raten.

Wer die Silent Ransom Group ist

SRG ist eine Erpressergruppe. Laut der KELA-Ausarbeitung bestehen Gruppen wie diese fort, weil das Modell funktioniert und schwer auszumerzen ist, und diese Beständigkeit ist Teil dessen, was sie gefährlich macht. Die Analyse wirft auch die Frage auf, ob US-Organisationen stärker im Visier stehen als andere, was darauf hindeutet, dass die Geografie der Opfer eine der Fragen ist, die die durchgesickerten Gespräche zu beantworten helfen.

Der entscheidende Punkt ist das Geschäftsmodell. Anstatt sich nur auf das Verschlüsseln von Dateien zu verlassen, konzentrieren sich Gruppen dieser Kategorie darauf, Zugang zu erlangen, Daten zu entwenden und dann Druck auszuüben. Dieser Ansatz senkt die technische Hürde und verlagert den Kampf von Systemen auf Menschen und Reputationen.

Was die durchgesickerten Chats über ihre Arbeitsweise verraten

Die KELA-Analyse, die auf den durchgesickerten internen Chats aufbaut, geht durch, wie die Gruppe ihre Ransomware- und Erpressungsoperation aufbaut. Der für Alltagsleser relevanteste Aspekt ist die Abhängigkeit von telefonischer IT-Impersonation. Bei dieser Angriffsart ruft jemand einen Mitarbeiter an und gibt sich als Helpdesk-Mitarbeiter aus, um ihn dann dazu zu bringen, Zugang herauszugeben oder etwas zu genehmigen, das er nicht sollte.

Wir haben diese Taktik ausführlicher in unserem Beitrag über den IT-Impersonation-Helpdesk-Betrug behandelt, der untersucht, wie das Schema hinter den Kulissen organisiert ist. Es lohnt sich zu lesen, wenn Sie die operativen Details wollen.

Das übergeordnete Muster ist, dass gestohlene Daten, nicht verschlüsselte Dateien, zum Druckpunkt werden. Opfer können möglicherweise Systeme aus Backups wiederherstellen und stehen dennoch vor der Drohung, dass Informationen durchsickern. Das ist dieselbe Verschiebung, die in unserer Berichterstattung darüber beschrieben wird, wie Ransomware die Verschlüsselung überspringt und trotzdem bezahlt wird.

Warum gestohlene Zugangsdaten und Daten für die persönliche Privatsphäre wichtig sind

Es ist leicht, eine Geschichte wie diese als Unternehmensproblem zu lesen. Aber die Daten, die eine Bande wie SRG stiehlt, gehören oft gewöhnlichen Menschen: Kunden, Patienten, Mitarbeitern und Klienten. Ein einziger erfolgreicher Telefonanruf bei einem Mitarbeiter kann Datensätze offenlegen, die Namen, Kontaktdaten und Kontoinformationen enthalten.

Für Einzelpersonen zeigt sich das Risiko auf verschiedene Weise:

  • Ihre Informationen können bei einer Organisation liegen, die ins Visier gerät, auch wenn Sie nie etwas falsch gemacht haben.
  • Über Dienste hinweg wiederverwendete Zugangsdaten können aus einer Exposition mehrere machen.
  • Erpressungsnachrichten können direkt an Sie gerichtet werden, sobald Ihre Daten in kriminellen Händen sind.

Ein VPN stoppt nichts davon. Es verschlüsselt Ihren Datenverkehr und maskiert Ihre IP-Adresse, aber es kann nicht verhindern, dass jemand einen Helpdesk-Mitarbeiter dazu überredet, Zugang herauszugeben, oder dass ein Dritter Daten durchsickern lässt, die er über Sie besitzt. Die Abwehrmaßnahmen, die hier zählen, sind Gewohnheiten und Kontohygiene.

Praktische Schritte zur Verringerung Ihrer Exposition

Sie können nicht kontrollieren, wie jede Organisation Ihre Daten schützt, aber Sie können den Schaden begrenzen und sich selbst und Ihren Arbeitsplatz zu schwierigeren Zielen machen.

Überprüfen Sie, bevor Sie einem Anrufer vertrauen. Wenn jemand behauptet, vom IT-Support zu sein, legen Sie auf und kontaktieren Sie den Helpdesk über eine Nummer, die Sie bereits kennen. Legitimer Support wird das nicht übel nehmen. Seien Sie besonders wachsam bei jeder Aufforderung, Software zu installieren, eine Anmeldeaufforderung zu genehmigen oder einen Code vorzulesen.

Verschärfen Sie die Multi-Faktor-Authentifizierung. Aktivieren Sie MFA überall, wo sie angeboten wird, und bevorzugen Sie nach Möglichkeit app-basierte oder Hardware-Methoden gegenüber Textnachrichten. Genehmigen Sie niemals eine Aufforderung, die Sie nicht selbst ausgelöst haben.

Verwenden Sie einzigartige Passwörter. Ein Passwortmanager macht das realistisch. Wenn ein Konto exponiert wird, halten einzigartige Passwörter das Problem eingedämmt.

Halten Sie getestete Offline-Backups bereit. Backups helfen, wenn Dateien verschlüsselt werden, aber denken Sie daran, dass sie nichts gegen Datendiebstahl bewirken. Betrachten Sie sie als eine Schicht, nicht als den ganzen Plan.

Begrenzen Sie, was Sie teilen. Je weniger personenbezogene Daten eine Organisation über Sie besitzt, desto weniger gibt es zu leaken. Denken Sie zweimal nach, bevor Sie optionale Angaben machen.

Für kleine Organisationen: Schreiben Sie ein Helpdesk-Verifizierungsverfahren auf, etwa eine Rückrufregel oder ein gemeinsames Codewort, und stellen Sie sicher, dass jeder Mitarbeiter es kennt. Schulen Sie Ihr Personal darin, dass Dringlichkeit eine häufige Manipulationstaktik ist.

Was das für Sie bedeutet

Die durchgesickerten Chats der Silent Ransom Group sind eine Erinnerung daran, dass viele Angriffe mit einem Gespräch beginnen, nicht mit einem Stück Malware. Ob Sie ein kleines Büro führen oder einfach Konten bei vielen Unternehmen haben, die nützlichsten Abwehrmaßnahmen sind Low-Tech: Identitäten bestätigen, Anmeldungen mit starker MFA schützen und davon ausgehen, dass Daten, die andere besitzen, irgendwann exponiert werden könnten.

Wichtige Erkenntnisse

  • Überprüfen Sie Ihre Backup-Routine und denken Sie daran, dass Backups nicht vor gestohlenen Daten schützen.
  • Prüfen Sie Ihre MFA-Einstellungen und ersetzen Sie schwache Methoden, wo Sie können.
  • Richten Sie Helpdesk-Verifizierungsgewohnheiten ein oder überdenken Sie sie, zu Hause und bei der Arbeit.
  • Für tieferen Kontext lesen Sie unsere Berichterstattung über den IT-Impersonation-Helpdesk-Betrug und die Verschiebung hin zur reinen Datendiebstahl-Erpressung.

Ein paar Minuten, die Sie jetzt für diese Überprüfungen aufwenden, sind weit günstiger als der Umgang mit einer Erpressungsnachricht später.